1月4日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。

楽天、クラウド型営業管理システムに不正アクセス

楽天、楽天カード、楽天Edyは、社外のクラウド型営業管理システムに保管した一部情報が不正アクセスを受けたことを明らかにした。

不正アクセスは、2020年11月24日に社外のセキュリティ専門家の指摘によって発覚。調査の結果、3社が管理する一部情報に海外からの不正アクセスがあったことを確認した。原因は、社外のクラウド型営業管理システムの利用におけるセキュリティ設定の不備。

対策として、当該システムの設定を変更。2020年11月26日に完了した。以降は社外の第三者からのアクセスは確認されていない。不正アクセスの詳細は以下の通り。

楽天市場への法人向け資料請求者、および店舗情報。

  • 期間: 2016年1月15日～2020年11月24日
  • 最大件数: 1,381,735件（アクセス確認件数: 208件）

楽天カードの事業者向けビジネスローン申込者情報

  • 対象顧客：2013年4月1日～2020年7月18日に、ホームページからビジネスローンを申し込んだ人
  • 期間：2016年1月15日～2020年11月26日
  • 対象の法人・個人事業主数：最大15,415件（アクセス確認件数：304件）

故障した端末（スマホなど）の楽天Edy残高移行サービス申込者情報

  • 期間：2016年1月15日～2020年11月26日
  • 申込者数：最大89,141件（アクセス確認件数：102件）
  • 対象となる端末とサービス申請期間
  • 「おサイフケータイ」機能付き携帯電話：2010年10月1日～2019年3月4日
  • docomo select「おサイフケータイ ジャケット01」：2014年10月30日～2020年11月18日
  • ソニー製ハイブリッド型スマートウォッチ「wena wrist」シリーズの一部：2016年3月24日～2020年11月18日

Google、Chromeの最新バージョン「87.0.4280.141」を公開

Googleは1月6日、Chromeの最新バージョン「87.0.4280.141」を公開した。アップデートは、Windows、macOS、Linux向けに提供する。

今回のアップデートでは、「高」12件の脆弱性を含む13件を修正。脆弱性はドラッグアンドドロップやメディアなどでの解放後メモリ使用、WebUIでのポリシーの実施が不十分、Skiaのヒープバッファオーバーフロー、ネットワーキングでのデータ検証が不十分など。Chromeブラウザを使っている場合は早急にアップデートをすること。

あいちトリエンナーレ、メール配信システムに不正アクセス

あいちトリエンナーレ実行委員会は1月4日、管理・運営するメールニュース配信システムが不正アクセスを受けたことを明らかにした。

不正アクセスはなりすましメールの送信で、1月4日午前に、事務局職員がメールニュース配信システムに登録したメールアドレスで当該メールを受信し、なりすましが発覚した。漏えいした可能性のある個人情報は、メールニュース配信システムに登録済みのメールアドレス、および登録名。登録総数は約3,500件で、送信件数は確認中とのこと。

対応策として、登録者にメールで注意を呼びかけるとともに、メールニュース配信システムの一時凍結手続きを実施している。

川崎重工業、海外拠点が不正アクセスを受け情報流出

川崎重工業が不正アクセスを受け、一部情報が海外拠点から流出した可能性がある。不正アクセスは、2020年6月11日に社内でのシステム監査において発覚。本来発生しないはずの海外拠点（タイ）から日本国内サーバーへの接続を確認した。同日、当該の海外拠点と国内拠点との通信を遮断している。

その後、2020年6月24日にインドネシアとフィリピンの拠点、2020年7月8日に米国の拠点を経由した国内サーバーへの不正アクセスを確認。2020年8月3日にアクセスの監視強化とアクセス制限の厳格化を開始し不正アクセスを遮断している。

今回の不正アクセスは、痕跡を残さない高度な手口が使われていたという。結果的に、内容不明の情報が外部に流出した可能性を確認したものの、個人情報や社内情報などの流出は特定できなかった。

今後は、海外拠点と国内拠点間の通信ネットワークの監視とアクセス制御の厳格化を進め、2020年11月1日付で設立したサイバーセキュリティ総括部が再発防止を推進していくとしている。

トレンドマイクロ、InterScan Web Securityに脆弱性

トレンドマイクロは、InterScan Web Securityシリーズの管理画面用サービスに脆弱性があると発表した。対象のバージョンは以下の通り。

  • InterScan Web Security Virtual Appliance（IWSVA）6.5
  • InterScan Web Security Suite（IWSS）6.5 Linux版

脆弱性はバッファオーバーフローとOSコマンドインジェクションで、管理画面用サービスに存在。これらの脆弱性を放置すると、権限を持たない攻撃者によってIWSVA/IWSSサーバー上で任意のコード実行の可能性がある。攻撃者がレポート専用以上の権限を持っている場合、また管理者権限を持っている場合も同様。

すでに対策パッチは提供済みだが、管理画面のTCPポートへのアクセスを信頼できるユーザに限定したり、Linux OSのファイアウォール機能を利用することでも対応可能。なお、InterScan Web Security Suite 5.6 Windows版は、今回の脆弱性の影響はない。